JP2009517910A - Ｐｕｆｓを使用した物理的な共有秘密及び周辺の証明 - Google Patents

Abstract

本発明は、チャレンジ−応答ペアを形成する方法、複数の物理的なトークンを認証する方法、チャレンジ−応答ペアを形成するシステム、及び複数の物理的なトークンを認証する装置に関する。本発明の基本的な考えは、ある系列において、複数のクローン化不可能な機能（ＰＵＦ）のような複数の物理的なトークン１０１，１０２，１０３を相互接続し、系列にチャレンジＱを提供し、系列におけるその後のＰＵＦに対するチャレンジとしてＰＵＦの応答を使用する。系列において最後のＰＵＦに到達し、応答Ｒを生成したとき、チャレンジ−応答ペアＣＲＰが形成され、このペアは、ＰＵＦの系列に提供されるチャレンジ及び最後のＰＵＦにより生成される応答を含む、少なくともこのＣＲＰのチャレンジが記憶される。

Description

本発明は、チャレンジ−応答のペアを形成する方法、複数の物理的なトークンを認証する方法、チャレンジ−応答ペアを形成するシステム、複数の物理的なトークンを認証する装置に関する。

ＰＵＦ（Physical Uncloneable Function）は、パーティが共有秘密を確立する耐タンパー性のある環境を形成するために使用される構造である。ＰＵＦは、入力（チャレンジ）が提供される物理的なトークンである。チャレンジがＰＵＦに提供されたとき、チャレンジは、応答と呼ばれるランダムなアナログ出力を生成する。その複雑さ及び対応する物理的法則のため、トークンは、クローン化できない（uncloneable）、すなわち物理的に複製及び／又は計算上モデル化することが実施不可能であると考えられる。ＰＵＦは、物理的にランダムなファンクションであると呼ばれる。ＰＵＦは、制御機能と結合された場合に大幅に強化される。実際、ＰＵＦから分離不可能なＰＵＦ及びアルゴリズムは、耐タンパー性のあるチップに含まれる。ＰＵＦは、アルゴリズムを介してのみアクセスされ、アルゴリズムをバイパス又は操作する試みは、ＰＵＦを破壊する。アルゴリズムは、ハードウェア、ソフトウェア又はその組み合わせで実現され、ＰＵＦの入力及び出力を支配する。たとえば、ＰＵＦの頻繁なチャレンジが禁止され、所定のチャレンジのクラスが禁止され、ＰＵＦの物理的な出力は隠され、暗号化により保護されたデータのみが明らかにされる。かかる手段は、アタッカがＰＵＦを自由にチャレンジすることができず、応答に割り込むことができないので、セキュリティを大幅に強化する。このタイプのＰＵＦは、制御ＰＵＦ（ＣＰＵＦ）と呼ばれる。

ＰＵＦの例は、ランダムな位置で光スキャッタを含む３Ｄ光媒体である。入力、すなわちチャレンジは、たとえばＰＵＦを照明するレーザビームの入射角であり、出力、すなわち応答は、斑紋型である。登録段階では、チャレンジがＰＵＦに提供され、このＰＵＦは、固有であってチャレンジに対する予測不可能な応答を生成する。チャレンジ及び対応する応答は、その後の認証が着手される証明者で記憶される場合がある。登録データが暗号化、ハッシュ又は他の適切なやり方で暗号化により保護された場合、原理的に世界の何れかの場所に記憶することができる。たとえば、登録データは、ＰＵＦそれ自身に関連して記憶される場合がある。これにより、登録者は、データベースを保持する義務から解放される。典型的に、認証段階では、認証者は、登録段階で記憶されたチャレンジを証明パーティに提供する。証明パーティが、登録段階で記憶された応答に一致する、チャレンジに対する応答をリターンすることができる場合、証明パーティは、共有秘密へのアクセスが証明されたと考えられ、したがって認証者により認証される。登録段階及び認証段階の両者は、共有秘密、すなわち応答を明らかにすることなしに行われ、暗号化によりセキュアなチャネルをセットアップすることを典型的に含む。

ＰＵＦは、たとえばそれ自身を認証するためにユーザにより利用されるトークンで実現され、したがって所定のデータ、サービス又は装置へのアクセスを取得する。トークンは、たとえば、無線周波信号により、アクセスされるべき装置との（ＵＳＢのような）有線インタフェースを介して、通信するスマートカードを有する場合がある。

当該技術分野で知られている所タイプの数学的な秘密共有スキームでは、異なるセットの情報は、多数（Ｎ）の人々に与えられる。ジグソーパズルにおいて互いにフィットするピースのように、これらの情報のセットは、秘密を現すように結合される。一般に、Ｎよりも少ない人々がそれらの情報セットを結合する場合、ｋ個のピース（ｋ＜Ｎ）を結合するために十分である場合にバリエーションが存在するとしても、秘密に関して何ら学習しない。既存の秘密共有スキームにおける本質的な特徴は、所定の数の異なる情報セットが結合されている証明が提供されることである。これは、十分な数の許可された参加者が、たとえば安全をオープンにすることに同意している証明書としての役割を果たす。従来の秘密共有スキームの例は、多項式を使用する。秘密は、２次元平面におけるｙ軸座標、すなわちｋ−１次の秘密多項式がｙ軸と交差する座標を含む。それぞれの参加者は、異なる多項式の座標を受ける。ｋ人の人々がそれらのデータを結合する場合、多項式を再構築し、秘密の多項式がｙ軸と交差する座標を計算する。

ある状況では、情報セットが結合されていることを証明するだけでなく、情報セットの物理的なキャリアが同じ平面に配置される（配置されている）ことを証明することが望ましい。かかる「物理的な」証明書は、たとえば、人々のグループが同じ時間に同じ部屋に互いに存在していることを証明する。従来技術の秘密共有スキームでは、証明書が基づいている情報セットがコピーされ、任意の距離を通して高速で伝達されるので、係る証明書は、信頼することができない。

本発明の目的は、上述された問題を解決することにあり、人々のグループ又は装置が実際に物理的に集合された物理的な証明を提供するのを可能にすることにある。

上記目的は、請求項１記載のチャレンジ−応答ペアを形成する方法、請求項１４記載の複数の物理的なトークンを認証する方法、請求項２０記載のチャレンジ−応答ペアを形成するシステム、及び、請求項２５記載の複数の物理的なトークンを認証する装置により達成される。

本発明の第一の態様によれば、本方法は、系列における複数の物理的なトークンを相互接続するステップを含み、物理的なトークンの系列は、最後の物理的なトークンが応答を生成するまで、トークンの応答が後続のトークンに対するチャレンジとして通過されるように配置される。さらに、本方法は、物理的なトークンの系列に供給されるチャレンジを記憶するステップを含む。

本発明の第二の態様では、本方法は、相互接続された物理的なトークンの系列に登録の間に作成されたチャレンジを供給するステップを含む。物理的なトークンの系列は、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対する応答として通過されるように配置される。さらに、本方法は、最後の物理的なトークンの応答に基づく情報を受信するステップ、最後の物理的なトークンの応答に基づく情報を登録の間に作成された前記チャレンジに対応する応答に基づく情報と比較するステップを含む。系列に含まれる物理的なトークンは、最後の物理的なトークンの応答に基づく情報と登録の間に形成される応答に基づく情報との間に対応関係がある場合に認証される。

本発明の第三の態様によれば、本システムは、系列で相互接続する複数の物理的なトークンと、物理的なトークンの系列にチャレンジを供給する登録手段とを含む。物理的なトークンの系列は、最後の物理的なトークンが応答を生成するまでトークンの応答が後続のトークンのチャレンジとして通過されるように構成され、これにより、チャレンジ−応答のペアが形成される。

本発明の第四の態様によれば、本装置は、相互接続された物理的なトークンの系列に登録の間に形成されたチャレンジを供給する手段を有する。物理的なトークンの系列は、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対する応答として通過されるように配置される。さらに、本装置は、最後の物理的なトークンの応答に基づく情報を受信するステップ、最後の物理的なトークンの応答に基づく情報を登録の間に作成された前記チャレンジに対応する応答に基づく情報と比較する手段を含む。系列に含まれる物理的なトークンは、最後の物理的なトークンの応答に基づく情報と登録の間に形成される応答に基づく情報との間に対応関係がある場合に認証される。

本発明の基本的な考えは、ＰＵＦ（Plurality of Uncloneable Function）のような、系列において複数の物理的なトークンを相互接続し、系列にチャレンジを提供し、ＰＵＦの応答をその系列におけるその後のＰＵＦに対するチャレンジとして使用することにある。系列において最後のＰＵＦに到達し、応答を生成したとき、チャレンジ−応答ペア（ＣＲＰ）が形成され、このペアは、ＰＵＦの系列に供給されるチャレンジ及び最後のＰＵＦにより生成される応答を含む。少なくともこのＣＲＰのチャレンジは、以下に記載されるように記憶される。したがって、たとえば３つのＰＵＦのグループが系列で相互接続され、チャレンジが第一のＰＵＦに供給されることが想定される。第一のＰＵＦは、チャレンジに応答を生成し、この応答を第二のＰＵＦに送出し、この第二のＰＵＦは、同様なやり方で第三（最後）のＰＵＦに供給される応答を生成する。次いで、結果的に得られるチャレンジ−応答ペア（ＣＲＰ）が形成され、このペアは、第一のＰＵＦに供給されるチャレンジ及び第三のＰＵＦにより提供される応答を含む。したがって、ＰＵＦの物理的な出力（すなわち応答）がその後のＰＵＦへの物理的な入力（すなわちチャレンジ）として使用されるという意味で、ＰＵＦは相互接続されるか連結される。好ましくは、チャレンジ−応答ペアは、登録段階で生じる。

チャレンジ及び対応する応答は、認証がその後に行われる認証者で記憶される。しかし、登録データが暗号化、ハッシュ又は他の適切なやり方で暗号化されて保護される場合、登録データは、何処かに仮想的に記憶される。たとえば、登録データは、ＰＵＦ自身に記憶される。これにより、登録者は、ＣＲＰのデータベースを保持する義務から解放される。ＰＵＦの応答は、応答に対するアクセスを有する盗聴者が認証者をだますことができる場合があるので、一般に公的に利用可能にされない情報である。

さらに、実際の登録を行うパーティ（すなわち登録者（enroller））は、認証をその後に行うパーティ（すなわち認証者（verifier））と必ずしも同じである必要はない。たとえば、ある銀行は、あるユーザを中心的に登録し、そのユーザの認証は、典型的にローカルの銀行の支店で行われる。さらに、チャレンジ及び応答は、必ずしも互いに記憶されないが、分離されて、異なる物理的なロケーションに記憶される場合がある。

代替的に、応答は全く記憶されない。実際に、複数のＣＲＰは、登録段階で形成され、少なくともＣＲＰのチャレンジは、ＣＲＰが再び形成されるように記憶される。当業者により理解されるように、登録パーティ及び認証パーティが同じでない場合、セキュリティの理由で、ＣＲＰに登録者の署名を提供する必要があり、これにより、認証者は、ＣＲＰが信頼される登録者により形成されることが保証される。登録されたシーケンスにおけるＰＵＦのうちの何れかの周辺におけるような、登録者が制御できない場所にＣＲＰが物理的に記憶されるときに、登録者の署名が更に必要である。登録データがセキュアなロケーションに保持される場合、署名は不要である。

前もって知られていない複数のユーザのアドホックな登録が行われる場合、それぞれのユーザが彼自身／彼女自身を登録パーティに識別することが義務付けられる。これは、それぞれのユーザの秘密鍵を使用して、対応するデジタル署名を形成することで実行される。

続いて、認証段階では、登録段階で連結された物理的にクローン化できない機能が再び連結される。認証が実行されるべき認証者は、登録段階で作成及び記憶されたＣＲＰからチャレンジを選択する。選択されたチャレンジは、第一のＰＵＦに供給され、この第一のＰＵＦは、応答を生成し、この応答をその後の第二のＰＵＦへのチャレンジとして供給する。第二のＰＵＦは、最後の第三のＰＵＦに供給される応答を生成する。最後のＰＵＦは、最後の応答を生成することでこのチャレンジに応答する。最後の応答が前記ＣＲＰに含まれる記憶された応答に一致する場合、認証者は、第一、第二及び第三のＰＵＦが同じロケーションに物理的に存在すること、すなわち、これらのＰＵＦが物理的に相互接続されていることを確信する。したがって、ＰＵＦの相互接続の証明書が供給される。なお、この例示的な実施の形態では、３つのＰＵＦは相互接続される。明らかに、任意の数のＰＵＦは、確立された系列で連結され、登録段階でＣＲＰが形成される。同様に、認証段階では、同じＰＵＦは、成功すべき確立された認証のシーケンスにおいて相互接続される必要がある。本発明は、ＰＵＦのクローン化することができない特性を有利にも利用し、これにより、ＰＵＦの特性が複製するために実施不可能であることが保証される。

本発明の実施の形態によれば、ＰＵＦは、たとえばユーザにＰＵＦをリンクする識別子によりユーザと関連付けされる。これは、ユーザが認証者で認証されるべき複数のＰＵＦを提供して相互接続する必要があるので有利である。これにより、ユーザは１つの単一ＰＵＦを使用して所与のチャレンジに対する応答を形成する必要がある従来技術の認証システムと比較してセキュリティを強化する。

本発明の別の実施の形態によれば、登録が行われた後、それぞれのＰＵＦは、たとえばユーザにＰＵＦをリンクする識別子により異なるユーザに関連付けされる。上述された相互接続の証明書から離れて、ＰＵＦは、お金を引き出すか又は個人的な（又は公衆に対して少なくともアクセス可能ではない）データへのアクセスを得るようなプライベートな目的のために使用される場合がある。これは、たとえばユーザがそれらのＰＵＦを他のＰＵＦと相互接続するために与えている偽の証明書を作成する目的で、それらのＰＵＦを明らかにすることを妨げられるという利点を有する。

登録が行われた後、ＰＵＦが既にユーザに割り当てられていない場合、ＰＵＦは関連付けされるユーザにハンドオーバされる。ユーザは、認証が行われないときにＰＵＦの連結のオーダに関して必ずしも通知される必要はない。ユーザに連結のオーダが与えられない場合、オーダそれ自身は、秘密となり、システムにおけるセキュリティを強化すると考えられる。ユーザが登録の間に利用される連結のオーダを知らない場合、実際に、多数のＰＵＦが連結されるときのオーダを推測することは不可能である。

本発明の実施の形態では、登録が行われた後、登録者は、（たとえばランダム数又はランダムに発生されたメッセージといった）シークレットを、ＰＵＦの連結の所定のチャレンジに対する応答に基づく暗号化鍵で暗号化する。したがって、暗号化されたデータセットＥ_R（ｍ）が形成され、Ｅ_R（ｍ）は、応答Ｒによるメッセージｍの暗号化を示す。登録者（又は認証者）は、チャレンジ及び暗号化されたシークレット（及びオーダがユーザに既に知られていない場合に連結のオーダ）と共にＰＵＦをユーザに分配する。正しい応答が分配されたチャレンジに対して作成される、すなわち登録の間に使用された連結のオーダが認証の間に使用される必要があるように、ＰＵＦが連結される場合に、ユーザは暗号化によりプロテクトされたシークレットを解読することができる。なお、シークレットを暗号化するために利用される鍵は、多数の異なるやり方で作成される。たとえば、登録者は、ＰＵＦのオーダリングが一定である間、ＰＵＦの系列を複数のチャレンジでチャレンジし、結果的に得られる応答から解読鍵を導出する。認証段階では、ＰＵＦには、暗号化されたシークレットを解読する鍵を再作成するため、複数のチャレンジが提供される。

別の実施の形態では、複数の異なるＰＵＦ連結が登録され、それぞれのＰＵＦは、個別のチャレンジ及びチャレンジに対する個別の固有の応答をもつ。登録者は、応答から導出された暗号化鍵でシークレットを暗号化する。ユーザは、それらのＰＵＦ、チャレンジ及び対応する連結のオーダを受信する。シークレットのプレインテキストコピーを形成するため、登録の間と同じＰＵＦの連結を形成し、それぞれのＰＵＦの連結をチャレンジし、正しい応答を取得する。解読鍵が導出されるようにそれらの応答を結合することで、シークレットを解読することができる。

更に別の実施の形態では、シークレットの暗号化は、数学的な秘密共有を含む。

本発明の更なる実施の形態では、チャレンジは、物理的に相互接続されたＰＵＦの系列で初めに位置されるＰＵＦに提供され、第一のＰＵＦの応答は、チェインにおける最後ＰＵＦが応答を生成するまで、上述されたように、チェインにおける第二のＰＵＦへのチャレンジとして提供される。第一のＰＵＦに提供されるチャレンジ及び最後のＰＵＦにより生成される応答は、チャレンジ−応答ペアを構成する。チャレンジ−応答ペアを含むチャレンジ−応答データセット、チャレンジ−応答ペアを形成するために使用されるそれぞれのＰＵＦの識別子及びＰＵＦの連結のオーダが形成される。先に説明されたように、チャレンジに対する応答は、必ずしも記憶される必要はない。そのケースでは、応答はデータセットに含まれない。このチャレンジ−応答データセットは、登録パーティにより署名される。好ましくは、ＰＵＦが属するユーザは、（おそらく特定の目的の特定の状況下で）ユーザが収集されたことのステートメントを準備し、このステートメントをチャレンジ−応答のデータセットに添付する。次いで、それぞれのユーザは、彼／彼女の秘密鍵を使用して、チャレンジ−応答データセットを含む、完全なステートメントに署名する。ここで、デジタル署名されたチャレンジ−応答データセットが記憶され、これらのユーザがステートメントに同意しただけでなく、（時間的にある瞬間に）実際に物理的に一緒にいることの証明としての役割を果たす。後に、たとえば裁判所において、誰かが証明書の有効性を問題にする場合、ユーザは会合することができ、裁判所は、彼らがチャレンジ−応答データセットのチャレンジに対する応答を発生することができることを証明する。この特定の実施の形態は、ＰＵＦの登録が行われる環境で必ずしも実現されない。好都合なことに、予期しないＰＵＦの組み合わせのアドホックな証明書を生成するために利用される。しかしながら、この実施の形態は、上述されたように、複数のＰＵＦを登録するときに、有利なことに利用される。

なお、認証段階で利用されるべきオーダは前もって知られていない場合に、ＰＵＦが登録段階で連結されるオーダを記憶することが必要であることが理解される。さもなければ、ユーザは、どのようなオーダでそれらのＰＵＦを連結し、所与のチャレンジに対する有効な応答を生成するかを知らない。

本発明の更なる特徴、利点は、特許請求の範囲及び以下の説明を調べたときに明らかとなるであろう。当業者であれば、本発明の異なる特徴が結合され、以下に記載される以外に実施の形態が形成されることを認識される。
本発明の好適な実施の形態の詳細な説明は、添付図面を参照して以下に与えられる。

図１は、本発明の実施の形態に係る登録パーティでの複数のＰＵＦ１０１，１０２及び１０３の登録（enrolement）を示す。ＰＵＦは、ＰＵＦ１０１，１０２の物理的な出力が、系列におけるその後のＰＵＦ１０２，１０３への物理的な入力として使用される順序で接続される。はじめに、登録局は、順序において最初に位置されるＰＵＦ１０１にチャレンジＣを供給する。このチャレンジは、どのタイプのＰＵＦが使用されるかに依存して、多数の異なるやり方で実施される場合がある。

たとえば、制御されるＰＵＦ（ＣＰＵＦ）が利用され、このＣＰＵＦは、制御機能と結合されるＰＵＦを有する。典型的にＰＵＦ及び、ＰＵＦから分離不可能なアルゴリズムは、耐タンパー性のあるチップに含まれる。ＰＵＦは、アルゴリズムを介してのみアクセスされ、アルゴリズムをバイパス又は操作する如何なる試みはＰＵＦを破壊する。一般に、チップは、計算手段１０５及び記憶手段１０６を有し、これらの手段は、アルゴリズムを実行し、アルゴリズムを実現するソフトウェアを記憶する。典型的に、登録パーティ１０４もまた、計算手段１０７及び記憶手段１０８を有する。使用されるＰＵＦは、たとえば３次元の光媒体であり、ランダムな位置で光スキャッタを含む。ＰＵＦへの入力（すなわちチャレンジ）は、たとえば、チップに含まれるレーザダイオードから生じるレーザビームであり、出力（すなわち応答）は、チップに配置される光検出素子により検出される斑紋型である。チップは、チャレンジが供給される入力、応答が供給される出力とで構成される。チャレンジは、典型的に、たとえばルミナンスといったレーザダイオードの動作パラメータにＣＰＵＦにおいて変換されるデジタルデータの形式でＣＰＵＦに供給され、これにより、適切なチャレンジがＰＵＦに供給される。結果的に得られる斑紋型、すなわち応答が検出されたとき、この応答は、デジタルデータに変換され、このデジタルデータは、その出力を介してＣＰＵＦから出力される。

第一のＰＵＦ１０１に供給されるチャレンジＣは、登録パーティ１０４により分散されるデジタルビットストリームの形式で典型的に実施され、このビットストリームは、レーザダイオードの動作パラメータにチップの処理手段により変換される。ビットストリームは、たとえばレーザダイオードの波長を制御し、異なるビットストリームは、ＰＵＦに供給される異なるチャレンジとなる。第一のＰＵＦ１０１は、チャレンジＣに対する応答Ｒ’を生成し、この応答を第二のＰＵＦ１０２に送出し、この第二のＰＵＦは、同様のやり方で、第三の、最後のＰＵＦ１０４に供給される応答Ｒ’’を生成する。Ｃ及びＲを含むチャレンジ−応答ペア（ＣＲＰ）が形成され、ＰＵＦは、登録パーティ１０４で登録される。

図２は、本発明の実施の形態に係るマイクロプロセッサを有する認証パーティ２０４での複数の登録されたＰＵＦ２０１，２０２，２０３の認証を示す図である。ＰＵＦは、登録の前又は後の何れかで、それぞれのユーザ２０５，２０６，２０７と関連付けされる。先に記載されたように登録パーティと必ずしも同じである必要がないが、認証パーティ２０４で認証が実行されたとき、ＰＵＦは、それらが登録された順序で連結される。登録者及び認証者が同じパーティではない場合、（セキュリティの理由のため）登録段階における登録者のデジタル署名をＣＲＰに供給することが必要である。デジタル署名が利用される場合、認証者は、登録者の公開鍵を使用して、ＣＲＰが正しく署名されたことをチェックする。チェレンジＣは、第一のＰＵＦ２０１に供給され、この第一のＰＵＦは、応答Ｒ’を生成し、この応答を第二のＰＵＦ２０２に対するチャレンジとして供給する。

なお、チャレンジＣが第一のＰＵＦ２０１に供給されるやり方は、チャレンジが記憶される場所に依存する。チャレンジがＰＵＦ２０１，２０２，２０３のうちの何れか１つに記憶される場合、そのシナリオが可能であるとしても、認証者２０４にとってチャレンジを供給することは必要ではない。

第二のＰＵＦは、応答Ｒ’を生成し、この応答は、第三の、最後のＰＵＦ２０３に供給される。最後のＰＵＦは、最後の応答Ｒ’’を生成することでこのチャレンジに応答する。最後の応答が登録されたＣＲＰの応答に整合する場合、認証者は、第一、第二及び第三のＰＵＦは同じロケーションに物理的に存在すること、すなわちこれらＰＵＦが物理的に相互接続されることを確信する。したがって、ＰＵＦの相互接続の証明が供給される。本発明の別の実施の形態では、複数のＰＵＦは、登録の間に第一のオーダで相互接続され、ＣＲＰは、図１と共に記載されたように形成される。しかし、この実施の形態では、複数のＰＵＦは、第二のオーダで相互接続され、（図１に示されない）更なるＣＲＰ Ｃ１，Ｒ１が形成される。図２を参照して、ＰＵＦがその後に認証されたとき、ユーザ２０５，２０６，２０７は、第一のオーダでそれらを相互接続し、それらに適切なチャレンジＣを提供し、対応する応答Ｒを生成し、認証者２０４に応答を供給する。さらに、ユーザは、ＰＵＦをそれらが登録される第二のオーダで相互接続し、それらに対応するチャレンジＣ１を提供し、これに応じて応答Ｒ１を生成し、認証者にこの第二の応答を供給する必要がある。したがって、図１の登録手順及び図２の認証手順は、ＰＵＦが相互接続されるそれぞれ異なるオーダについて一度提供される。

図３では、チャレンジＣがＰＵＦ３０１，３０２，３０３の系列に提供され、最後の応答Ｒが生成された後、チャレンジ−応答ペアＣ，Ｒ、チャレンジ−応答ペアを形成するために利用されるそれぞれのＰＵＦの識別子、及びＰＵＦの連結のオーダを含むチャレンジ−応答データセットが形成される。ＰＵＦが属するユーザ３０５，３０６，３０７は、それぞれ、ユーザが収集されているステートメント３０８，３０９，３１０を用意し、このステートメントをチャレンジ−応答データセットに添付する。次いで、それぞれのユーザは、彼又は彼女の秘密鍵を使用してチャレンジ−応答データセットを含めて、完全なステートメントに署名する。デジタル署名されたチャレンジ−応答データセットは記憶され、これらのユーザがステートメントに同意するだけでなく、これらのユーザが調和してそれらのＰＵＦを連結している、認証者３０４（又は他のパーティ）への証明としての役割を果たす。上述されたように、この特定の実施の形態は、ＰＵＦの登録が行われる環境で必ずしも実現されない。

ＰＵＦが登録及び認証の間に物理的に相互接続される場合でさえ、登録及び認証データは、遠隔地から受信され、遠隔地に送信される。当業者により理解されるように、この受信／送信は、たとえば、幾つかの他の適切なネットワークのうちのインターネットを介してデータを送出することを含む。

さらに、誤り訂正スキームは、たとえば、雑音が除去されて、再生可能なデータが取得されるように、ＰＵＦの系列から最後の応答を訂正するために使用される。たとえば、当該技術分野で知られているヘルパーデータスキームが利用される場合がある。チャレンジ−応答ペアの導出と暗号化技術とを結合するため、ヘルパーデータは、登録段階の間に導出される場合がある。ヘルパーデータは、認証の間と同様に登録段階の間にチャレンジから固有の応答が導出されることを保証する。したがって、認証で得られたデータが、同一であることが期待される登録データに整合するように、ヘルパーデータスキームは、雑音の多い認証データの補正を可能にする点でロバスト性をもたらす。勿論、他の適切な誤り訂正スキームは、当業者により考えられる。

本発明は特定の例示的な実施の形態を参照して記載されたが、多数の異なる代替、変更等は、当業者にとって明らかとなる。記載される実施の形態は、したがって、特許請求の範囲により定義される本発明の範囲を限定することが意図されない。

本発明の実施の形態に係る登録パーティでの複数のＰＵＦの登録を示す図である。 本発明の実施の形態に係る認証パーティでの複数の登録されたＰＵＦの認証を示す図である。 本発明の実施の形態に係るステートメントの使用を示す図である。

Claims (26)

1. チャレンジ−応答のペアを形成する方法であって、
   ある系列における複数の物理的なトークンを相互接続するステップと、
   前記系列の物理的なトークンにチャレンジを供給するステップと、前記系列の物理的なトークンは、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対するチャレンジとして送出されて、チャレンジ−応答ペアが形成されるように構成され、
   前記系列の物理的なトークンに供給されるチャレンジを記憶するステップと、
   を含む方法。
2. 前記最後の物理的なトークンの応答を記憶するステップを更に含む、
   請求項１記載の方法。
3. ユーザを少なくとも１つの相互接続された物理的なトークンと関連付けするステップを更に含む、
   請求項１記載の方法。
4. 異なるユーザをそれぞれ相互接続された物理的なトークンと関連付けするステップを更に含む、
   請求項１記載の方法。
5. 前記チャレンジ、それぞれの物理的なトークン、及び、前記チャレンジ−応答ペアを形成するときに前記物理的なトークンが系列において相互接続される順序を含むチャレンジデータセットを形成するステップと、
   前記チャレンジデータセットを記憶するステップと、
   を更に含む請求項１記載の方法。
6. 前記チャレンジデータセットに前記応答を含めて、チャレンジ−応答データセットを形成するステップを更に含む、
   請求項５記載の方法。
7. 前記チャレンジデータセットに、異なるユーザが収集された異なるユーザによるステートメントを含むステップを更に含む、
   請求項５記載の方法。
8. ユーザをトークンの識別子とリンクさせることで前記ユーザを物理的なトークンを関連付けするステップが実行される、
   請求項３記載の方法。
9. 登録パーティで、相互接続された物理的なトークンの系列の応答に基づく暗号化鍵でシークレットを暗号化するステップと、
   前記暗号化されたシークレット及びチャレンジを前記系列に含まれる前記物理的なトークンの少なくとも１つに分配するステップと、
   を更に含む請求項１記載の方法。
10. 登録された物理的なトークンをそれぞれのユーザに分配するステップを更に含む、
    請求項１記載の方法。
11. 前記複数の物理的なトークンが系列において相互接続される順序を変えるステップと、
    前記系列の物理的なトークンに更なるチャレンジを供給するステップと、前記系列における物理的なトークンは、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対するチャレンジとして送出され、
    更なるチャレンジデータセットとして、前記系列の物理的なトークンに供給される前記更なるチャレンジを記憶するステップと、
    を更に含む請求項１記載の方法。
12. 前記チャレンジ及び前記更なるチャレンジの両者は、前記相互接続された物理的なトークンを認証するときに供給される、
    請求項１１記載の方法。
13. 前記物理的なトークンは、物理的にクローン化できない機能を含む、
    請求項１記載の方法。
14. 複数の物理的なトークンを認証する方法であって、
    相互接続された物理的なトークンの系列に登録の間に形成されたチャレンジを供給するステップと、前記物理的なトークンの系列は、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対するチャレンジとして送出されるように構成され、
    前記最後の物理的なトークンの応答に基づく情報を受信するステップと、
    前記最後の物理的なトークンの応答に基づく前記情報を登録の間に形成された前記チャレンジに対応する応答に基づく情報と比較するステップと、
    前記系列に含まれる物理的なトークンは、前記最後の物理的なトークンの応答に基づく前記情報と登録の間に形成された応答に基づく前記情報との間に対応関係がある場合に認証される、
    ことを特徴とする方法。
15. 前記最後の物理的なトークンの応答に基づく前記情報は、前記応答それ自身であり、前記比較するステップにおいて、前記最後の物理的なトークンの応答は、登録の間に形成された前記チャレンジに対応する応答と比較され、
    前記系列に含まれる物理的なトークンは、前記最後の物理的なトークンの応答と登録の間に作成された応答との間に対応関係がある場合に認証される、
    請求項１４記載の方法。
16. 前記系列は、登録の間に形成された前記挑戦に対応する応答で暗号化されたシークレットが供給され、前記最後の物理的なトークンの応答に基づく前記情報は、前記暗号化されたシークレットを前記最後の物理的なトークンの応答で解読することで得られるシークレットを含み、
    前記比較するステップで、前記シークレットは、登録の間に形成される前記チャレンジに対応するシークレットと比較され、前記系列に含まれる前記物理的なトークンは、２つのシークレット間に対応関係がある場合に認証される、
    請求項１４記載の方法。
17. 供給されるチャレンジと関連付けされる物理的なトークンが相互接続される順序を提供するステップを更に含む、
    請求項１４記載の方法。
18. チャレンジが信頼される登録パーティにより署名されているかを確かめるステップを更に含む、
    請求項１４記載の方法。
19. 前記物理的なリンクと関連付けされたユーザが集められたかを示すステートメントを受信するステップと、
    前記ステートメントの署名をチェックするステップと、
    を更に含む請求項１４記載の方法。
20. チャレンジ−応答ペアを形成するシステムであって、
    当該システムは、
    系列において相互接続する複数の物理的なトークンと、
    前記系列の物理的なトークンにチャレンジを供給する登録手段とを有し、
    前記系列の物理的なトークンは、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対するチャレンジとして通過され、チャレンジ−応答ペアが形成されるように構成される、
    ことを特徴とするシステム。
21. 前記系列の物理的なトークンに供給されるチャレンジを記憶する手段が前記物理的なトークンのうちの少なくとも１つに設けられる、
    請求項２０記載のシステム。
22. 前記登録手段は、前記系列の物理的なトークンに供給されるチャレンジを記憶する手段が設けられる、
    請求項２０記載のシステム。
23. 前記登録手段は、相互接続された物理的なトークンの系列の応答に基づく暗号化鍵でシークレットを暗号化し、暗号化されたシークレット及び前記チャレンジを前記系列に含まれる前記物理的なトークンのうちの少なくとも１つに分配する手段を更に有する、
    請求項２０記載のシステム。
24. 前記物理的なトークンは、物理的にクローン化できない機能を含む、
    請求項２０記載のシステム。
25. 複数の物理的なトークンを認証する装置であって、
    相互接続された物理的なトークンの系列に登録の間に形成されたチャレンジを供給する手段と、前記系列の物理的なトークンは、最後の物理的なトークンが応答を生成するまで、あるトークンの応答が後続するトークンに対するチャレンジとして送出され、
    前記最後の物理的なトークンの応答に基づく情報を受信する手段と、
    前記最後の物理的なトークンの応答に基づく前記情報を登録の間に形成された前記チャレンジに対応する応答に基づく情報と比較する手段とを有し、
    前記系列に含まれる物理的なトークンは、前記最後の物理的なトークンの応答に基づく前記情報と登録の間に形成された応答に基づく前記情報との間に対応関係がある場合に認証される、
    ことを特徴とする装置。
26. コンピュータ実行可能なコンポーネントが装置に含まれる処理ユニットで実行されるとき、前記装置に請求項１４記載のステップを実行させる前記コンピュータ実行可能なコンポーネントを含むコンピュータプログラムプロダクト。

Images